هجمات npm في شتنبر 2025: عندما تُسمَّم اللبنات التي تُبنى بها المواقع

في شتنبر 2025، نُشرت مكتبات JavaScript شائعة تستعملها ملايين المواقع وهي تحمل شيفرة خبيثة، ثم انتشرت دودة تُدعى Shai-Hulud في مئات الحزم. ما الذي يعنيه ذلك لموقعك.

تُبنى المواقع الحديثة بآلاف اللبنات الصغيرة مفتوحة المصدر، تُسمى الحزم، ويتم تحميلها من سجل npm. وفي شتنبر 2025، أظهر هجومان مدى هشاشة هذه السلسلة.

الهجوم الأول: تصيد مطوّر معروف

• حوالي 8 شتنبر، تلقى مطوّر معروف يشرف على حزم كثيرة رسالة بدت صادرة عن دعم npm، مرسلة من النطاق المزيف npmjs.help.
• التقطت صفحة مزيفة بيانات دخوله، بما فيها رمز التحقق بخطوتين.
• نشر المهاجمون نسخًا خبيثة من 18 حزمة شائعة جدًا، منها chalk وdebug.
• كانت الشيفرة المزروعة تهدف إلى تبديل عناوين محافظ العملات المشفرة في المتصفح لتحويل المدفوعات.

الهجوم الثاني: دودة Shai-Hulud

ابتداءً من 15 شتنبر، سرق برنامج خبيث قادر على الانتشار ذاتيًا، أُطلق عليه اسم Shai-Hulud، رموز npm وبيانات الدخول السحابية لمطورين، ثم استعملها لنشر نسخ مصابة من حزم أخرى يشرفون عليها. وحذفت GitHub أكثر من 500 حزمة مخترقة.

ما الذي يعنيه ذلك لموقعك

• تثبيت نسخ الحزم بملف القفل، حتى لا يُثبَّت أي تحديث دون علمك.
• عدم التسرع في تثبيت نسخة جديدة يوم صدورها، وإعطاء المجتمع وقتًا لاكتشاف أي مشكلة.
• استعمال تحقق مقاوم للتصيد، مثل مفاتيح المرور أو مفاتيح الأمان، في حسابات المطورين.
• إبعاد الأسرار عن أجهزة التطوير وتجديدها بعد أي حادث.

مسؤولية مشتركة

لا يستطيع أي فريق إعادة كتابة كل الحزم التي يستعملها. لكنه يستطيع اختيار حزمه بعناية، والتقليل من عددها، ومتابعة التنبيهات الأمنية. وهذا الانضباط جزء من بناء موقع جاد.

الموقع لا يكون أكثر أمانًا من الشيفرة التي يستعيرها.

المصادر: BleepingComputer، مدونة AWS للأمن، Pulsedive، شتنبر 2025.

تريد موقعًا مبنيًا بحزم متابعة ومراجعة؟ صِف لنا مشروعك عبر استمارة التقدير، وسنرد عليك بتقدير مناسب والخطوات التالية.